Jak jsem potkal počítače 7 (diskuse)

[zito]

Hezké! Jo, ty začátky s ftp se mi teď také vybavují. Pamatuji si, že byl default ascii přenos a občas někdo zapomněl přepnout na bin. Když byl velký soubor, tak se vyplatilo zkusit data opravit. Tenkrát asi neuměl klient a server udělat reget, že? Občas to padlo a muselo se začít znovu. Pomocí prompt nebo set prompt to pak ukazovalo asi hashmark? Každý kilobajt byl hashmark. Člověk na to civěl, jak pomalu naskakují hashmarky, a doufal, že to nepadne...

[zito]

Ne prompt, tak to byl asi ten hash, když koukám na ten skriptík...

[PetebLazar]

Spolužák z fakulty si takto plnil diskety celý týden programy pro Amigu v .lha, aby doma o víkendu zjistil že si stáhl z každého byte pouze sedm bitů.

[podlesh]

sunset měl tuším miror na cuni.cz ale možná to byl sunsite?

[PetebLazar]

Co si vzpomínám tak sunsite.

[Vtipnéř]

Určitě sunsite, což souvisí s firmou Sun, ale sunet je něco jiného.

[podlesh]

Jo a ftp se překvapivě v některých oblastech drží. No ale nebudu si stěžovat, furt lepší než fax!

[Max]

U nás stále používáme. Snažíme se klienty donutit postupně používat sftp.
Jede se přes to částečně komunikace edi zpráv. Na edi je mimochodem oftp, které jsme byli nuceni před delší dobou nasazovat kvůli Škodě. Do té doby jsem ani netušil, že něco takového existuje.
Zdar Max

[luky]

Tak u prumyslovych aplikaci je normalni, ze zarizeni maji zivotnost 20 let i vice, takze FTP s nama nejakou dobu jeste bude. Navic v techto pripadech se vetsinou i pouziva na lokalnich sitich, takze neni treba resit pruchod pres FW a sifrovani.

[Max]

Šifrování je třeba řešit vždy, i na lokální síti.
Zdar Max

[__]

Tohle lpění na šifrování vždy a za všech okolností mi přijde, jako kdybych si pod dům Řípem chtěl pojistit proti výbuchu sopky.

[__]

... si dům pod Řípem ...

pardon

[Max]

Šifrování je naprostý základ už hafec let. Nechápu, že se tomu stále někdo brání. Odchytit ftp komunikaci, získat loginy, znepříjemnit život adminům i klientům, to není tak těžké.
Navíc spousta lidí nedomýšlí další možné komunikace, co nejsou šifrované a neuvědomují si, co tam lítá a jaký je to průšvih.
Zdar Max

[__]

Já ale neříkám, že by se to nemělo dělat. Jen to, že je potřeba zvážit co, proti čemu, v jaké situaci a podobně, chráním. Ano máš pravdu, že na obecné úrovni nelze říct, že v lokální síti je to bez šifrování OK. Ale zcela obdobně mi přijde přehnané tvrdit, že šifrování je naprostý základ. Jsou jednoduše situace, kdy komplikace související s jeho nasazením převažují výhody.

Obdobně jsou situace, kdy třeba prázdné heslo roota je naprosto v pořádku. Nebo by se taky měli zamyslet všichni propagátoři kombinatorické složitosti hesel proč u platební karty je dostačující čtyřciferný pin.

[Max]

Čtyřciferný pin je u karty dostatečný proto, jelikož to samotné řešení umožňuje mít takto krátké a zároveň bezpečné. To samé heslo do TPM. U karty je ta bezpečnost dána tím, že karta musí být fyzicky odcizena + útočník má omezený počet pokusů. V kombinaci s možností nahlášení ztráty, nastavenými limity apod. je to dostatečně bezpečné.
TPM je opět o nutnosti fyzické přítomnosti a nemožnosti dělat bruteforce (pokud je dobře nastaveno).
Zdar Max

[PetebLazar]

Není pravdou, že potenciální útok je omezen pouze na odcizenou kartu. Většina čteček(ISO karty) a tokenů dnes není vybavena klávesnicí, takže PIN k ní se zadává skrze prostředky počítače. V případě, že má útočník vzdálený přístup k počítači s možností zachycení obrazovky(myši) nepomůže ani typická zobrazená scramblovaná klávesnice k zadání PINu.

[Max]

Kopírovači karet jsou zlo, to je pravda. Naštěstí to postupně také začíná ustupovat. Čím dál více poskytovatelů umožňuje platby přes QR kód a používání bankomatů je taktéž na ústupu, tj. nejčastější místo, kde ke kopírování docházelo.
Zdar Max

[PetebLazar]

Nešlo mi o případ zkopírování karty, ale o její zneužití bez vědomí držitele přímo na jeho prostředcích. Po popsaném odchycení PINu možnost přímého zneužití originální karty(tokenu) bez vědomí držitele.

Je to také jedna z historií: od hesel pro telefonni komunikaci, přes papírové seznamy jednorázových hesel autorizující transakce, PINy, time-sync SecurID tokeny, SMS, certifikáty, mobilní klíče. Nakolik v tom posledním případě jde stále o více-faktorovou autorizaci když je i s mobilním bankovnictvím realizována na jediném technickém prostředku (SF)?

[vencour]

Vždyť nemusíte používat jen jeden mobil?

[__]

Já na to nechtěl odpověď :) , to bylo otázka k zamyšlení ohledně tématu bezpečnosti a jestli jsou všechna doporučení opravdu univerzálně platná, nebo je dobré si uvědomit kontext. U toho nešifrovaného ftp by to klidně mohlo být něco ve stylu, když už je útočník ve vnitřní síti, je to tak velký průšvih, že nějaká manipulace nebo jen odposlouchávání ftp je nám jedno.

[Vtipnéř]

Já na to nechtěl odpověď :)

Když mezitím proběhne nějaká diskuse, špatně se hledá, na co vlastně reaguješ. Pomůže, když se tam dá citace.

[Max]

Pokud je útočník ve vnitřní síti, není jedno nic. A z podobných důvodů se musí šifrovat i veškerá komunikace ve vnitřní síti. Tj. komunikace server-server, client-server apod. Reálně to pro firemní prostředí znamená např. vynucování šifrování a podepisování veškeré smb komunikace, šifrovat všechnu webovou komunikaci, ftp, vynucovat šifrování v komunikaci s databázema apod. a i pro čistě lokální app, které jsou dostupné třeba i jen pro IT, tak vynucovat MFA.
Zdar Max

[__]

To je ale přesně ten typ nesprávně universální úvahy, o které píšu. O jaké vnitřní sítí je vlastně řeč? Je opravdu nutné šifrovat třeba přenos mezi teplotním čidlem na balkoně a routrem, který ty údaje cpe do nějké rrd databáze (to asi nebude ftp, ale taková nešifrovaná komunikace bude mít velmi podobné problémy)?

Myslím, že v takovém případě je mi fakt jedno, že útočník, který má přístup do vnitřní sítě může navíc zjistit, jaká je teplota na balkoně a nebo mi dokonce podstrčit nějaká falešná data.

Lpět na šifrování vždy všude mi přijde podobné jako požadovat k platební kartě 12-ti znakové heslo s velkými, malými písmeny, čísly, speciálními znaky a tak.BTW - ani to nic moc nezajistí - qqqQQQ111!!!

[vencour]

Ideální svět je asi jiný než reálný. Vše dlouhodobě udržovat, řešit TCO, to je jiná.

[Max]

Pokud se bavíme o sensorech apod. věcech, tak jejich úroveň zabezpečení záleží na rozhodnutí na základě risk managementu. Třeba my provozujeme nemalou síť kamer a tam je jediný způsob ochrany izolovanost veškeré komunikace, managementu apod.
Zdar Max

[__]

To byl jen příklad. Z mého pohledu jde o: ... je potřeba zvážit co, proti čemu, v jaké situaci a podobně, chráním. a podle toho se rozhodnout, jaký způsob ochrany je vhodný a třeba jestli je nutné šifrovat

vs.

Šifrování je naprostý základ ...

[ehmmm]

A co kdyz ten ftp server akceptuje jakehokoliv anonymouse? Opravdu je potreba i takove ftp sifrovat?

Uz nevim presne, jak to bylo, ale byly nejake vstrikolisy a ty umely nejaky protokol, ktery prave spocival v predavani souboru pres ftp. Rozhodne se ty lisy nechystal nikdo vymenovat. Bylo definovano, jak se maji soubory jmenovat, co do kterho musim zapsat a co potom ten lis na oplatku vygeneruje za soubor. Uz jsem to nasel, jmenuje se to euromap: https://www.euromap.org/media/recommendations/63/2000/eu63.pdf Jen si nejsem jisty tim cislem 63, ale vypada to povedome.

[Max]

Řešil jsem něco podobného u soustruhů, které měly vystavené vnc bez zabezpečení. Některé starší stroje jej měly jen pro čtení, některé novější i pro ovládání soustruhu. Komunikace s dodavatelem prý velmi špatná. Nakonec kompletně izolovaná síť za fw s přístupem jen na přenos souborů tak, aby bylo riziko minimalizováno co nejvíce. Přenos dat nutný, posílaly se nějaké protokoly apod.
Zdar Max

[vencour]

Noo dlouho jsem někde neviděl citovat X.25

[Max]

Pěkné okénko do historie :).
Zdar Max

[regine2]

V uvedeném období jsme užívali ke komunikaci i modemy, hlavně pro přenos většího balíku dat v noci. U Telekomu jsme měli předplacený vyhrazený čas. Přesto si operátorky chtěly občas pokecat s modemy: "Hovoříte ještě?". No, krásná doba. Nakonfigurovat modem bez podpory výrobce bylo téměř nadlidské. Telekom navíc chtěl mít modemy jím schválené, vnucoval nám jejich předražené snad 10x. My měli od nějaké kanadské firmy. Doba monopolu Telekom.